ВВЕДЕНИЕ В ЗАЩИТУ ИНФОРМАЦИИ План лекции 1.1 Защита компьютерной информации основные понятия и определения 1.2 Классификация угроз безопасности информации 1.3 Формы атак на объекты информационных систем 1.4 Анализ угроз и каналов утечки информации 1.5 Анализ рисков и управление ими 1.1 Защита компьютерной информации основные понятия и определения Безопасность информации - степень мера защищенности информации, хранимой и обрабатываемой в автоматизированной системе АС , от негативного воздействия на нее, с точки зрения нарушения ее физической и логической целостности уничтожения, искажения или несанкционированного использования.
Автоматизированная система - организованная совокупность средств, методов и мероприятий, используемых для регулярной обработки информации в процессе решения определенного круга прикладных задач. Защищенность информации - поддержание на заданном уровне тех параметров информации, находящейся в автоматизированной системе, которые обеспечивают установленный статус ее хранения, обработки и использования.
Защита информации ЗИ - процесс создания и использования в автоматизированных системах специальных механизмов, поддерживающих установленный статус ее защищенности. Комплексная защита информации - целенаправленное регулярное применение в автоматизированных системах средств и методов защиты информации, а также осуществление комплекса мероприятий с целью поддержания заданного уровня защищенности информации по всей совокупности показателей и условий, являющихся существенно значимыми с точки зрения обеспечения безопасности информации.
Безопасная информационная система - это система, которая, во-первых, защищает данные от несанкционированного доступа, во-вторых, всегда готова предоставить их своим пользователям, а в-третьих, надежно хранит информацию и гарантирует неизменность данных. Таким образом, безопасная система по определению обладает свойствами конфиденциальности, доступности и целостности.
Конфиденциальность - гарантия того, что секретные данные будут доступны только тем пользователям, которым этот доступ разрешен такие пользователи называются авторизованными. Доступность - гарантия того, что авторизованные пользователи всегда получат доступ к данным. Целостность - гарантия сохранности данными правильных значений, которая обеспечивается запретом для неавторизованных пользователей каким-либо образом изменять, модифицировать, разрушать или создавать данные.
Требования безопасности могут меняться в зависимости от назначения системы, характера используемых данных и типа возможных угроз. Трудно представить систему, для которой были бы не важны свойства целостности и доступности, но свойство конфиденциальности не всегда является обязательным. Понятия конфиденциальности, доступности и целостности могут быть определены не только по отношению к информации, но и к другим ресурсам вычислительной сети, например внешним устройствам или приложениям. Существует множество системных ресурсов, возможность незаконного использования которых может привести к нарушению безопасности системы.
Например, неограниченный доступ к устройству печати позволяет злоумышленнику получать копии распечатываемых документов, изменять параметры настройки, что может привести к изменению очередности работ и даже к выводу устройства из строя. Свойство конфиденциальности, примененное к устройству печати, можно интерпретировать так доступ к устройству имеют те и только те пользователи, которым этот доступ разрешен, причем они могут выполнять только те операции с устройством, которые для них определены.
Свойство доступности устройства означает его готовность к использованию всякий раз, когда в этом возникает необходимость, а свойство целостности может быть определено как свойство неизменности параметров настройки данного устройства. Важным для понимания дальнейших определений являются такие понятия, как объект, субъект, доступ.
Объект - пассивный компонент системы, хранящий, принимающий или передающий информацию. Субъект - активный компонент системы, обычно представленный в виде пользователя, процесса или устройства, которому может потребоваться обращение к объекту или системе. Доступ - взаимодействие между субъектом и объектом, обеспечивающее передачу информации между ними, или изменение состояния системы. Доступ к информации - обеспечение субъекту возможности ознакомления с информацией и ее обработки, в частности, копирования, модификации или уничтожения информации.
Идентификация - присвоение субъектам и объектам доступа уникального идентификатора в виде номера, шифра, кода и т.п. с целью получения доступа к информации. Аутентификация - проверка подлинности субъекта по предъявленному им идентификатору для принятия решения о предоставлении ему доступа к ресурсам системы. Угроза - любое действие, направленное на нарушение конфиденциальности, целостности и или доступности информации, а также на нелегальное использование других ресурсов информационной системы ИС . Уязвимость информации - возможность возникновения на каком-либо этапе жизненного цикла автоматизированной системы такого ее состояния, при котором создаются условия для реализации угроз безопасности информации.
Атака - реализованная угроза. Риск - это вероятностная оценка величины возможного ущерба, который может понести владелец информационного ресурса в результате успешно проведенной атаки.
Значение риска тем выше, чем более уязвимой является существующая система безопасности и чем выше вероятность реализации атаки. Изначально защищенная информационная технология - информационная технология, которая изначально содержит все необходимые механизмы для обеспечения требуемого уровня защиты информации. Качество информации - совокупность свойств, обусловливающих пригодность информации удовлетворять определенные потребности в соответствии с ее назначением. 1.2
Классификация угроз безопасности информации
Классификация угроз безопасности информации. Побочное влияние - негативное воздействие на систему в целом или отдел... Качественная недостаточность - несовершенство конструкции организации ... Попытаемся теперь, опираясь на приведенную системную классификацию угр... КУИ 6-го класса - каналы, проявляющиеся в процессе обработки информаци...
Формы атак на объекты информационных систем
файлы, которые состоят из команд операционной системы, выполняемых одн... Динамическое искажение можно условно разделить на искажение на входе к... В рамках модели искажение также реализуются программные закладки, дейс... Например, такое НЕВЕРНЫЙ ПАРОЛЬ. ПОПРОБУЙТЕ ЕЩЕ РАЗ .
Анализ угроз и каналов утечки информации
Анализ потенциально возможных угроз информации является одним из первы... Нарушитель - это лицо, предпринявшее попытку выполнения запрещенных оп... При разработке модели нарушителя формируются предположения о категория... Посторонними нарушителями могут быть 2 представители конкурирующих орг... Даже если ИС имеет средства, чрезвычайно усложняющие проникновение, по...
Анализ рисков и управление ими
По результатам проведенной работы составляется документ, содержащий пе... Для построения надежной защиты необходимо выявить возможные угрозы без... Оценка рисков производится с помощью различных инструментальных средст... Анализ рисков предполагает изучение и систематизацию угроз защиты инфо... На практике для большинства угроз невозможно получить достоверные данн...
выводы о допустимых уровнях остаточного риска и целесообразности применения конкретных вариантов защиты.
Управление риском - процесс, состоящий в последовательном выполнении трех частей определение риска в незащищенной ИС, применение средств защиты для сокращения риска и оценка остаточного риска. Управление риском можно детализировать разбиением его на семь этапов. Этапы управления риском 1 1. Определение степени детализации, границ анализа и методологии. 2. Идентификация и оценка ценности ресурсов ИС. Этапы управления риском 2 3. Идентификация угроз и определение вероятности. 4. Измерение риска. 5. Выбор соответствующих мер и средств защиты.
Этапы управления риском 3 6. Внедрение и тестирование средств защиты. 7. Одобрение остаточного риска. Конечной целью управления риском является минимизация риска. Цель минимизации риска состоит в том, чтобы применить эффективные меры защиты таким образом, чтобы остаточный риск в ИС стал приемлем.
Минимизация риска состоит из трех частей определения тех областей, где риск недопустимо велик выбора наиболее эффективных средств защиты оценивания мер защиты и определения, приемлем ли остаточный риск в ИС. Дадим краткую характеристику этапам управления риском. Этап 1. Определение степени детализации На этом этапе составляется перечень того, какие информационные и технические ресурсы из состава ИС и с какой детальностью должны рассматриваться в процессе управления риском.
Перечень может включать ИС в целом или ее части, такие, как функции коммуникаций данных, функции сервера, приложения и т.д. Степень детализации можно представлять как сложность созданной логической модели всей ИС или ее частей, отражающую глубину процесса управления риском. Степень детализации будет отличаться для разных областей ИС. Например, некоторые области могут рассматриваться поверхностно, в то время как другие - глубоко и детально. Этап 2. Идентификация и оценка ценности ресурсов ИС В ходе оценки ценностей выявляются и назначаются стоимости ресурсов ИС. Этот шаг позволяет выделить ресурсы, приоритетные с точки зрения организации защиты.
Ценности могут быть определены на основании воздействий и последствий для организации. Оценка рисков предполагает не только стоимость ресурсов, но и последствия в результате раскрытия, искажения, разрушения или порчи информационных и технических ресурсов ИС. Стоимость ресурсов может быть представлена в терминах потенциальных потерь. Эти потери могут быть основаны на стоимости восстановления, потерях при непосредственном воздействии и последствий.
Одна из простейших методик оценки потерь для ценности состоит в использовании качественного ранжирования на высокие, средние и низкие потери. Одним из косвенных результатов этого процесса является создание детальной конфигурации ИС и функциональной схемы ее использования. Эта конфигурация должна описывать подключенные аппаратные средства ИС, главные используемые приложения, важную информацию, обрабатываемую в ИС, а также способ передачи этой информации через ИС. Конфигурация аппаратных средств содержит серверы, автоматизированные рабочие места, ПК, периферийные устройства, соединения с глобальными сетями, схему кабельной системы, соединения с мостами или шлюзами и т.д. Конфигурация программного обеспечения включает в себя операционные системы серверов, операционные системы автоматизированных рабочих мест, главное прикладное программное обеспечение, инструментальное программное обеспечение, средства управления ИС, местоположение программного обеспечения в ИС. После того как описание конфигурации ИС закончено и ценности определены, появится представление о том, из чего состоит ИС и какие ресурсы необходимо защищать в первую очередь. Этап 3. Идентификация угроз и определение их вероятности На этом этапе должны быть выявлены угрозы и уязвимые места, определены вероятности реализации угроз.
Список угроз следует рассматривать в зависимости от степени детализации описания ИС. Концептуальный анализ может указать на абстрактные угрозы и уязвимые места.
Более детальный анализ может связать угрозу с конкретной компонентой ИС. Существующие средства и меры защиты в ИС должны быть проанализированы, чтобы можно было определить, обеспечивают ли они адекватную защиту от соответствующей угрозы, в противном случае место возникновения угрозы можно рассматриваться как уязвимое место.
После того как определенные угрозы и связанные с ними уязвимые места выявлены, с каждой парой угроза уязвимое место должна быть связана вероятность того, что эта угроза будет реализована.
Этап 4. Измерение риска В широком смысле мера риска может рассматриваться как описание видов неблагоприятных действий, влиянию которых может подвергнуться система, и вероятностей того, что эти действия могут произойти. Результат этого процесса должен определить степень риска для определенных ценностей. Этот результат важен, поскольку является основой для выбора средств защиты и решений по минимизации риска.
Мера риска может быть представлена в качественных, количественных, одномерных или многомерных терминах. Количественные подходы связаны с измерением риска в терминах денежных потерь. Качественные - с измерением риска в качественных терминах, заданных с помощью шкалы или ранжирования. Одномерные - рассматривают только ограниченные компоненты риск величина потери Ч частота потери. Многомерные подходы рассматривают такие дополнительные компоненты в измерении риска, как надежность, безопасность или производительность. Одним из наиболее важных аспектов меры риска является то, что ее представление должно быть понятным и логичным для тех, кто выбирает средства защиты и решает вопросы минимизации риска.
Этап 5. Выбор соответствующих мер и средств защиты Цель этого процесса состоит в выборе соответствующих мер и средств защиты. Этот процесс может быть выполнен с использованием проверки приемлемости риска. Взаимосвязь между проверкой приемлемости риска и выбором средств защиты может быть итеративной.
Первоначально организация должна упорядочить уровни рисков, определенные в ходе оценки риска. Наряду с этим организация должна принять решение о количестве остаточного риска, который желательно принять после того, как выбранные меры и средства защиты будут установлены. Эти начальные решения по принятию риска могут внести поправки в уравнение выбора средств защиты. Когда свойства предлагаемых мер и средств защиты известны, можно повторно провести проверку приемлемости риска и определить, достигнут ли уровень остаточного риска или необходимо изменить решения относительно его приемлемости, чтобы отразить информацию о свойствах предлагаемых средств защиты.
Отбор соответствующих средств защиты для механизмов, входящих в состав ИС, является также субъективным процессом. При рассмотрении меры стоимости механизма важно, чтобы стоимость средства его защиты была связана с мерой риска, при определении рентабельности средства зашиты.
Для вычисления общего отношения риск стоимость используют меру риска и финансовую меру, связанную с каждым отношением угроза механизм и рассчитывают отношение риска к стоимости т.е. риск стоимость. Значение этого отношения меньше единицы будет указывать, что стоимость средств защиты больше, чем риск, связанный с угрозой. Этап 6. Внедрение и тестирование средств защиты Цель процесса внедрения и тестирования средств защиты состоит в том, чтобы гарантировать правильность реализации средств защиты, обеспечить совместимость с другими функциональными возможностями ИС и средствами защиты и получить ожидаемую степень защиты.
Этот процесс начинается разработкой плана внедрения средств защиты, который должен учитывать такие факторы, как доступный объем финансирования, уровень подготовки пользователей и т.д. График испытаний для каждого средства защиты также включается в этот план. План должен показывать, как каждое средство защиты взаимодействует с другими средствами защиты или влияет на них или функциональные возможности ИС . Важно не только то, что средство защиты исполняет свои функции, как ожидается и обеспечивает требуемую защиту, но и то, что средство защиты не увеличивает риск неправильного функционирования ИС из-за конфликта с другим средством защиты. Каждое средство должно быть проверено независимо от других средств, чтобы гарантировать обеспечение ожидаемой защиты.
Однако это может оказаться неуместным, если средство предназначено для совместной работы с другими средствами.
Этап 7. Одобрение остаточного риска После того как все средства защиты реализованы, проверены и найдены приемлемыми, результаты проверки приемлемости риска должны быть повторно изучены. Риск, связанный с отношениями угроза уязвимое место, должен теперь быть сокращен до приемлемого уровня или устранен. Если эти условия не соблюдены, то решения, принятые на предыдущих шагах, должны быть пересмотрены, чтобы определить надлежащие меры защиты.
Посещая семинары и презентации различных систем и продуктов по информационной безопасности, порой можно увидеть следующую картину. Представитель компании, представляющий продукт, расписывает в ярких красках достоинства и особенности своей системы, из которых можно сделать вывод, что данная система - это все что необходимо для обеспечения безопасности организации пусть даже отдельного направления деятельности или отдельной подсистемы. При этом можно увидеть, как разгораются глаза у участников - посетителей семинара, специалистов, так или иначе обеспечивающих или отвечающих за безопасность конкретных предприятий.
Можно с высокой степенью вероятности предположить, что некоторые из них по окончании семинара-презентации направятся к своему руководству с предложениями о приобретении рекламируемой системы, особенно если предприятие государственное или такое, где специалисты напрямую не заинтересованы в рациональном расходовании средств.
Отвлекаясь от достоинств или недостатков любой из систем или продуктов, необходимо осознать то, что защита информационных ресурсов должна быть продумана и эффективна, поскольку она в определенной степени предназначена и для сохранения финансовых ресурсов организации. В этом смысле приобретение дорогого, разрекламированного средства информационной безопасности может идти вразрез с самими целями мероприятий по информационной безопасности. Часто можно услышать подобную логику рассуждений на данном компьютере лежит конфиденциальная информация, следовательно, поместить его за межсетевой экран или установить на нем персональный межсетевой экран, антивирусное в данном случае анти-троянское программное обеспечение, сканнер атак на хост, программу контроля целостности системных файлов и вдобавок ко всему оснастить его системой биометрического контроля доступа, скажем, по отпечатку пальца.
Суммарные расходы на защиту компьютера начинают превышать стоимость самого компьютера с операционной системой и приложениями.
При этом, правда, иногда упускается из виду, что оператор, работающий на данной станции с указанными секретными данными, готов поделиться этими секретными данными за сумму, сравнимую с его месячной заработной платой, возможно, это несколько десятков, пусть даже сотен долларов. Если же, как это обычно бывает, информация распределена между станциями сети, стоимость защиты вырастает в существенные суммы. Однако какой конкретный ущерб принесет разглашение этой информации? Очевидно, что это неприятно, особенно если такой инцидент стал достоянием публики.
Но каково материальное выражение этого ущерба? Некоторые руководящие документы по информационной безопасности косвенно или явно формально указывают на основной принцип определения требуемого уровня защиты. Обычно он формулируется так Сумма затрат на обеспечение защиты не должна превосходить суммы ущерба от атаки, которую данная защита должна предотвратить. Реже принимается другой принцип Суммарные расходы, понесенные злоумышленником на преодоление защиты должны превышать выгоду от результатов атаки. Первый подход обычно характерен для коммерческих организаций, ориентированных на получение прибыли, второй подход - для организаций работающих, например, с государственными секретами, когда построение защиты подразумевает более существенные расходы.
Однако, если измерить произведенные расходы на приобретение и установку систем защиты информации достаточно легко, то оценить, сколько необходимо потратить на обеспечение безопасности, сложнее.
В главе 14 будут представлены некоторые методики такой оценки, но следует учитывать, что увязывание числовых метрик с информационными активами вообще специфично для каждой конкретной организации, а на постсоветском пространстве еще и вносит дополнительные особенности. Скажем, если разглашение информации по компрометирующим действиям западного политика может привести к его отставке, то на территории бывшего СССР это может наоборот прибавить политику популярности.
Управлением рисками следует заниматься не только при планировании глобальных модификаций информационного пространства организации, но и в ряде более мелких случаев. Например, организация использует большую автоматизированную систему, приобретенную у стороннего поставщика, но при этом она открыта к модификации в ней присутствуют детализированные описания API . Одним из элементов обеспечения информационной безопасности является анализ регистрационных журналов системы.
Однако стандартная поставка системы такова, что журнал неполон и дополнительную информацию приходится собирать из других подсистем допустим, из журналов операционной системы, для чего необходима дополнительная работа, которая выливается в одну штатную единицу оператора мониторинга журналов. Возможные альтернативные решения имеющейся проблемы ? принять на работу оператора для выполнения необходимых работ ? заказать у поставщика обновление системы с расширенным регистрационным журналом ? поручить своим программистам разработать дополнительный модуль с помощью имеющихся API ? приобрести отдельный продукт, который будет производить анализ разрозненных регистрационных журналов, возможно, как одну из подфункций к другой полезной деятельности.
Выбирать подходящий вариант из имеющихся можно только после оценки потенциального ущерба оттого, что атака будет реализована по причине отсутствия каких-либо работ по анализу регистрационных журналов системы.
Ведь возможно, что стоимость реализации любого из четырех приведенных проектов окажется значительно больше вероятных потерь организации в случае атаки. Оценка рисков как часть направления информационной безопасности - управления рисками, является существенным инструментом в построении защиты. Однако для эффективного использования этого инструмента необходимо выполнить ряд условий, например, перейти от качественных понятий к количественным. Скажем, получение доступа к данной информации приведет к краху компании - это качественное описание, а разглашение данной информации потребует выплаты суммы п клиентам, 2 конкурентам, з судебные издержки - это количественное описание.
Этот процесс значительно облегчен, если в организации уже произведена классификация информационных активов, о которой рассказывалось в главе 6. Управление рисками - это процесс определения, анализа и оценки, снижения, устранения или переноса перенаправления риска, который процесс заключается в ответе на следующие вопросы. 1. Что может произойти? 2. Если это что-то произойдет, то каков будет результат или ущерб? 3. Как часто может происходить это событие? 4. Насколько мы уверены в ответах на вышеуказанные вопросы оценка вероятности ? 5. Что может быть сделано для снижения или устранения вероятности события? 6. Сколько будет стоить то, что может быть сделано? 7. Насколько эффективно то, что может быть сделано? Сам риск как таковой и состоит из понятия вероятности четвертый вопрос, т. е. чем больше вероятность первых трех вопросов событие происходит часто и с большим ущербом, тем больше риск, чем меньше вероятность, тем меньше риск. Информационный актив - набор информации, который используется организацией в работе и может состоять из более мелких поднаборов.
При оценке должно быть проведено отделение собственно информации, как виртуальной составляющей, от ее носителя, как физического объекта.
Соответственно стоимость возможного ущерба должна быть оценена как сумма ? стоимости замены информации если была произведена ее утрата в том или ином виде ? стоимости замены программного обеспечения поддержки если оно было повреждено ? стоимости нарушения конфиденциальности, целостности, доступности если таковые имели место. Отдельно учитываются аппаратное и сетевое обеспечение, поскольку их оценка производится проще они имеют известную рыночную стоимость. Стандартная методика организации работ по управлению рисками следующая 1. Определение политики управления рисками.
Построенная на общепринятых принципах обеспечения информационной безопасности англ. Generally Accepted System Security Principles - GASSP GASSP политика позволит избежать субъективного подхода. 2. Определение персонала, который будет заниматься управлением риска ми и обеспечить его финансирование.
Помимо оплаты труда, скорее всего придется провести обучение кадров и, возможно, приобрести автоматизированные инструменты или платные методики оценки рисков. 3. Определение методологии и средств, с помощью которых будет производиться оценка риска.
Важно быть уверенным в том, что оценка риска проведена правильно до того как будут потрачены средства, необходимые для управления рисками. 4. Идентификация и измерение риска. На первом этапе необходимо определить сферу применения работ, имеющиеся угрозы, информационные активы и их значимость это, возможно, уже будет сделано при классификации, проанализировать уязвимости активов, которые могут повлиять на частоту появления или размер возможного ущерба.
Далее производится сведение полученных данных с установкой метрик. Для качественной оценки это может быть таблица, в колонках которой указаны активы, а в столбцах - уровень риска высокий, средний, низкий. Для количественной оценки используется конкретная количественная методика. Установка критериев приемлемости рисков. На основе полученных данных специалисты по управлению рисками совместно с руководством организации должны определить приемлемость риска на основе принятой методики, например, считать неприемлемым риск, если вероятность потери эквивалента 100 000 долларов США более чем 3 100. Избежание или уменьшение рисков.
Необходимо определить уязвимости, которые становятся неприемлемыми при принятых критериях, и определить меры для их устранения. Этот процесс проходит следующие фазы выбор средств для снижения устранения риска оценка эффективности этих средств в смысле соответствия между ценой средства и его эффективностью, отчет руководству о предлагаемых мероприятиях.
Мониторинг работы управления рисками. Для обеспечения адекватности предпринимаемых мер соответствующим рискам, необходимо периодически производить переоценку рисков при изменении внешних и внутренних обстоятельств, угроз и другие превентивные действия.